对指定的10个资产，充分利用学校现有的安全态势感知平台、流量采集探针、防火墙、终端检测与响应平台等安全设备进行持续安全运营服务；

1、资产识别与梳理

1.1借助安全工具对用户资产进行全面发现和深度识别，并在后续服务过程中触发资产变更等相关服务流程，确保资产信息的准确性和全面性；

1.2结合安全工具发现的资产信息，首次进行服务范围内资产的全面梳理（梳理的信息包含支撑业务系统运转的操作系统、数据库、中间件、应用系统的版本，类型，IP地址；应用开放协议和端口；应用系统管理方式、资产的重要性以及网络拓扑），并将信息录入到安全运营平台中进行管理；当资产发生变更时，安全专家对变更信息进行确认与更新。

2、安全现状评估

2.1系统与Web漏洞扫描：对操作系统、数据库、常见应用/协议、Web通用漏洞与常规漏洞进行漏洞扫描；

2.2弱口令扫描：实现信息化资产不同应用弱口令猜解检测，如：SMB、SQLServer、Oracle、smtp、VNC、ftp、telnet、ssh、mysql、tomcat等；

2.3基线配置核查：检查采购人的主机操作系统、数据库、中间件的基线配置情况，确保达到相应的安全防护要求。检查项包含但不限于账号和口令管理、认证、授权策略、网络与服务、进程和启动、文件系统权限、访问控制等配置情况；

2.4勒索病毒事件分析：分析判断主机是否感染勒索病毒，根据已发生的漏洞攻击行为分析判断是否存在勒索病毒攻击等；

2.5病毒事件分析：分析是否感染病毒/，是否处于状态，根据已发生的漏洞攻击行为分析判断是否存在以植入为目的的漏洞攻击等；

2.6蠕虫病毒事件：确认文件是否被感染，定位失陷的代码并进行修复;

2.7对漏洞利用攻击、Webshell上传、Web系统目录遍历攻击、SQL注入攻击、信息泄露攻击、口令攻击、僵尸网络攻击、系统命令注入攻击及僵尸网络攻击等行为进行分析评估，判断攻击行为是否成功以及业务风险点；

2.8失陷主机分析：对失陷主机进行分析研判（如后门脚本等），并给出修复建议。

3、问题处置 对发现的问题进行处置，包含内网脆弱性问题、病毒类事件、入侵行为、勒索类事件等。

4、漏洞管理

4.1漏洞扫描与验证：每月针对服务范围内的资产的系统漏洞和Web漏洞进行全量扫描，并针对发现的漏洞进行验证，验证漏洞在已有的安全体系发生的风险及分析发生后可造成的危害；

4.2漏洞优先级排序：提供客观的漏洞修复优先级指导，不能以漏洞危害等级作为唯一的修复优先级排序依据。排序依据包含但不限于资产重要性、漏洞等级以及威胁情报（漏洞被利用的可能性）三个维度；

4.3提供漏洞验证服务：针对发现的漏洞进行验证，验证漏洞在已有的安全体系发生的风险及分析发生后可造成的危害。针对已经验证的漏洞，自动生成漏洞工单，安排安全专家跟进漏洞状态，各个处理进度透明，方便采购人清晰了解当前漏洞的处置状态，将漏洞处理工作可视化；

4.4针对存在的漏洞提供修复建议，提供精准、易懂、可落地的漏洞修复方案；

4.5针对服务平台生成的工单，采购人可按需催单，服务平台采用短信等方式通知安全专家，督促供应商第一时间处理； 4.6提供漏洞复测措施：复测措施可按需针对指定漏洞，指定资产等小范围进行，降低漏洞复测时的潜在影响范围，以及时检验漏洞真实修复情况；

4.7自动化持续跟踪漏洞：对发现的漏洞建立状态追踪机制，清晰直观展示漏洞修复情况、遗留情况及漏洞对比情况，让采购人实现对漏洞的可视、可管、可控；

4.8最新漏洞处置指导：一旦确认漏洞影响范围后，安排安全专家提供专业的处置建议，处置建议包含补丁方案以及紧急处置措施。

5、威胁管理

5.1结合大数据分析、人工智能、云端专家提供安全事件发现服务。依托于安全防护组件、检测响应组件和安全平台，将海量安全数据脱敏，包括漏洞信息、共享威胁情报、异常流量、攻击日志、病毒日志等数据，经由大数据处理平台结合人工智能和云端安全专家使用多种数据分析算法模型进行数据归因关联分析，实时监测网络安全状态,发现各类安全事件，并自动生成工单；

5.2实时监测网络安全状态，对攻击事件自动化生成工单，及时进行分析与预警。攻击事件包含境外黑客攻击事件、攻击事件、持续攻击事件；

5.3实时监测网络安全状态，对病毒事件自动化生成工单,及时进行分析与预警。病毒类型包含勒索型、流行病毒、型、蠕虫型、外发DOS型、C&C访问型、文件感染型、型；

5.4针对每一类威胁进行深度分析验证，分析判断是否存在其他可疑主机，将深度关联分析的结果通过邮件、微信等方式告知用户；

5.5结合威胁情报排查是否对用户资产造成威胁，并通知协助及时进行安全加固；

5.6每月主动分析病毒类的安全事件：提供病毒处置工具，并针对服务范围内的业务资产使用病毒处置工具进行病毒查杀，对于服务范围外的业务资产，安全专家协助用户查杀病毒；

5.7每月主动分析攻击类的安全事件：通过攻击日志分析，发现持续性攻击，立即采取行动实时对抗，当用户无防御措施时，提供攻击类安全事件的处置建议；

5.8策略调整：安排安全专家根据安全事件分析的结果以及处置方式，根据用户授权情况按需对安全组件上的安全策略进行调整工作。

6、事件管理

6.1基于主动响应和被动响应流程，对页面篡改、通报、断网、webshell、黑链等各类严重安全事件进行紧急响应和处置的解决方案；

6.2实时针对异常流量分析、攻击日志和病毒日志分析，经过海量数据脱敏、聚合发现安全事件；

6.3针对分析得到的勒索病毒、病毒、篡改事件、webshell、僵尸网络等安全事件，通过工具和方法对恶意文件、代码进行根除，帮助用户快速恢复业务，消除或减轻影响；

6.4入侵威胁清除：排查攻击路径，恶意文件清除；

6.5入侵原因分析：还原攻击路径，分析入侵事件原因；

6.6加固建议指导：结合现有安全防御体系，指导用户进行安全加固、提供整改建议、防止再次入侵。

7、服务平台功能要求

7.1支持面向学校的安全状态展示，展示出学校的业务和用户安全状态信息，使得学校能直观感受到当前的业务和资产安全状态；

7.2支持面向学校的安全态势展示，展示出当前遭受的威胁事件信息以及脆弱性信息统计，使得能直观感受到当前的风险态势情况；

7.3支持展示出当前工单数量和工单处置状态，使得能详细查看服务处置过程，查看安全事件闭环效果，掌握当前专家服务进度，监督服务质量；

※7.4提供能与学校现有的态势感知平台、流量采集探针、防火墙、终端检测与响应平台对接的安全服务平台，支持在该平台上对态势感知平台、流量采集探针、防火墙、终端检测与响应平台进行管理；（需提供承诺函，并加盖投标人鲜章） 7.5安全服务平台提供方需为国家信息安全漏洞共享平台(CNVD)用户组成员、应通过国际认证，取得CMMI5证书。（需提供证明材料并加盖投标人鲜章）

8、服务交付物 《安全服务运营报告》，报告频率：每周一次 《首次威胁分析与处置报告》，报告频率：一次 《事件分析与处置报告》，报告频率：按需触发，不限次数 《安全通告》，报告频率：按需触发，不限次数 《综合分析报告》，报告频率：每月一次 《季度汇报PPT》，报告频率：每季度一次